La Commission nationale de l’informatique et des libertés (ci-après « CNIL ») a publié le 22 juillet 2026 vingt-sept questions-réponses consacrées à sa recommandation sur les pixels de suivi dans les courriers électroniques, adoptée par la délibération n° 2026-042 du 12 mars 2026 et publiée au Journal officiel le 14 avril 2026.[1] Le document borne les deux exemptions de consentement et tire les conséquences de l’expiration, le 14 juillet 2026, du délai de trois mois accordé pour les adresses déjà collectées.[2]
Un champ d’application que rien ne vient réduire
L’article 82 indifférent au caractère personnel des données
La CNIL écarte l’argument tiré de l’agrégation ou de l’anonymisation des informations recueillies par le pixel : l’article 82 de la loi n° 78-17 du 6 janvier 1978 s’applique que les données concernées soient personnelles ou non, sa condition de déclenchement tenant à l’accès à l’équipement terminal ou à l’inscription d’informations dans celui-ci.[3] Les liens traçants ne sont pas visés directement, la FAQ indiquant seulement que la recommandation fournit les principes permettant aux acteurs qui y recourent d’évaluer leur conformité.[4]
Ni le destinataire ni le prestataire hors du champ
Aucune catégorie de courriel n’échappe au texte, adresses professionnelles comprises, et la CNIL rappelle sa compétence à l’égard d’acteurs établis dans un autre État membre ou en dehors de l’Union dès lors que les conditions d’application de la loi de 1978 sont réunies.[5] Le prestataire dont les pixels servent exclusivement l’expéditeur reste sous-traitant au sens de l’article 28 du RGPD, celui qui les exploite pour ses propres finalités devenant responsable conjoint dans les conditions de l’article 26.[6]
Deux exemptions étroitement bornées
La délivrabilité réduite à la date de dernière ouverture
L’exemption tombe dès qu’une seule de ses conditions manque : la collecte de l’heure d’ouverture, ou de toute information excédant ce qui est strictement nécessaire, la fait disparaître, et l’anonymisation postérieure ne rattrape rien.[7] La recommandation limite la conservation à la seule date, à la journée et sans enregistrer l’heure, de la dernière ouverture connue.[8] L’utilisateur qualifié d’« actif » ne devient pas pour autant l’auteur d’un contact au sens du référentiel relatif à la gestion des activités commerciales.[9]
La prospection par analogues privée d’exemption
L’articulation avec la prospection commerciale porte l’apport le plus opérationnel. Le courriel envoyé sur le fondement du consentement préalable exigé par l’article L. 34-5 du Code des postes et des communications électroniques peut être regardé comme un service explicitement demandé, de sorte que le pixel de délivrabilité bénéficie de l’exemption.[10] Il en va autrement du courriel adressé au titre des produits ou services analogues :
« lorsqu’un courriel est envoyé sans consentement préalable sur le fondement de l’exception applicable à la prospection de produits ou services analogues, il ne peut pas être considéré, de ce seul fait, comme ayant été explicitement demandé par l’utilisateur. Les pixels de suivi utilisés pour assurer sa délivrabilité ne peuvent donc pas bénéficier de cette exemption »[11].
La sécurité cantonnée à l’authentification
La seconde exemption ne couvre pas les traceurs employés à des fins de lutte contre la fraude en général.[12] La qualification du courriel comme service demandé et la limitation de la collecte à la date d’ouverture lui sont transposées, tandis que les conditions relatives au nettoyage des bases ne concernent que la délivrabilité.[13] La CNIL recommande par ailleurs d’informer les utilisateurs de l’existence des pixels exemptés et d’ouvrir un mécanisme d’opposition lorsque le traitement repose sur l’intérêt légitime au sens de l’article 6, paragraphe 1, sous f), du RGPD.[14]
La fin du régime transitoire
Le 14 juillet 2026 comme date butoir
Le délai de trois mois ne visait que les adresses collectées avant la publication de la recommandation et courait à compter du 14 avril 2026.[15] Passé le 14 juillet 2026, sauf prolongation justifiée, les règles de la recommandation deviennent applicables faute d’envoi du courriel d’information rendant possible l’opposition, ce qui impose de recueillir le consentement ou de cesser d’insérer les pixels qui y sont soumis.[16]
Ce qu’impose la fin du sursis
L’absence d’opposition ne couvre que les adresses collectées avant le 14 avril 2026 dont les titulaires ont été informés, et seulement tant que les conditions dans lesquelles les courriels sont adressés demeurent inchangées : tout nouveau consentement requis pour les courriels eux-mêmes emporte recueil d’un consentement conforme pour les pixels.[17] La grille de contrôle se lit en quatre temps : date de collecte de l’adresse, preuve de l’information ou du consentement, périmètre exact des données remontées par le pixel, traçabilité du choix exprimé, la CNIL retenant six mois comme durée de bonne pratique avant toute nouvelle sollicitation.[18]
________
[1] CNIL, questions-réponses relatives à la recommandation sur les pixels dans les courriers électroniques, mises en ligne le 22 juillet 2026, questions n° 1 à 27 : https://www.cnil.fr/fr/faq-recommandation-pixels-courriers-electroniques. Délibération n° 2026-042 du 12 mars 2026 portant adoption d’une recommandation relative aux pixels de suivi dans les courriers électroniques, article 2 : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000053876850_01-01-2999. Date de publication au Journal officiel indiquée par la CNIL : https://www.cnil.fr/fr/recommandation-pixel-suivi-courriels
[2] Questions-réponses précitées, questions n° 25 à 27.
[3] Questions-réponses précitées, question n° 18 : « Le fait de collecter des données anonymes ou agrégées dispense-t-il de recueillir du consentement ? ». Réponse : « Non. L’article 82 de la loi Informatique et Libertés s’applique que les données concernées soient personnelles ou non. » Article 82 de la loi n° 78-17 du 6 janvier 1978, consulté le 13 août 2026 : https://www.cnil.fr/fr/le-cadre-national/la-loi-informatique-et-libertes#article82
[4] Questions-réponses précitées, question n° 1. Sur le champ d’application technique, la recommandation renvoie aux « Lignes directrices 2/2023 sur le champ d’application technique de l’article 5, paragraphe 3, de la directive vie privée et communications électroniques », version 2.0, adoptées le 7 octobre 2024 : https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en
[5] Questions-réponses précitées, questions n° 2 et 3 : « La recommandation s’applique à tout recours à des traceurs dans les courriels, quel que soit le contexte dans lequel ceux-ci sont envoyés. »
[6] Questions-réponses précitées, question n° 4. Articles 26 et 28 du règlement (UE) 2016/679, texte consolidé consulté le 13 août 2026 : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:02016R0679
[7] Questions-réponses précitées, questions n° 5 et 7 : « Le fait que des données supplémentaires […] soient rendues anonymes ou supprimées peu après leur collecte ne remet pas en cause le fait qu’elles ont été collectées au-delà de ce qui est nécessaire pour assurer la délivrabilité. »
[8] Recommandation relative aux pixels de suivi dans les courriers électroniques, version adoptée le 12 mars 2026, section 3.2 : https://www.cnil.fr/sites/default/files/2026-04/recommandation-pixels_de_suivi.pdf
[9] Questions-réponses précitées, question n° 9, renvoyant à la partie 7 du référentiel relatif aux traitements de données personnelles mis en œuvre aux fins de gestion des activités commerciales : https://www.cnil.fr/sites/default/files/atoms/files/referentiel_traitements-donnees-caractere-personnel_gestion-activites-commerciales.pdf
[10] Questions-réponses précitées, question n° 15. Article L. 34-5 du Code des postes et des communications électroniques, version en vigueur au 13 août 2026, identifiant LEGIARTI000042155961 : https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000042155961
[11] Questions-réponses précitées, question n° 15.
[12] Questions-réponses précitées, question n° 13.
[13] Questions-réponses précitées, question n° 12.
[14] Questions-réponses précitées, question n° 11.
[15] Questions-réponses précitées, question n° 25 : « Il court à compter du 14 avril 2026, date de publication de la recommandation au Journal officiel. »
[16] Questions-réponses précitées, question n° 26.
[17] Questions-réponses précitées, question n° 27.
[18] Questions-réponses précitées, question n° 24 : « Ne pas solliciter à nouveau l’utilisateur pendant une durée de six mois constitue une bonne pratique. »